AI挖出藏了十几年的底层PHP漏洞，网络安全也回不去那个旧时代了。
PHP 两个远程代码执行漏洞 PHP2Shell 在补丁前泄密，多国政府网站预防性下线；OpenAI 称漏洞由 GPT-5.6 Sol 辅助发现。
批注有一说一，用酒店寄存柜讲释放后使用和先加一再存数据的那两段很好懂，不写 C 的朋友也能看明白。
发生了什么
10 月 20 日夜里，有人在 Hacker News 贴出两个 PHP 远程代码执行漏洞的编号，几小时后 watchTowr 确认属实，PHP 只好把原定 22 日的安全更新提前到 21 日晚 10 点（北京时间）。其间参与发现的 Calif 误发了攻击演示视频，一家容器镜像公司提前 6 个多小时发出打好补丁的镜像。21 日荷兰议会和国家网络安全中心的网站下线，BambooHR 停服，niconico 和 pixiv 紧急维护，作者称高市早苗在 X 上建议预防性下线。漏洞合称 PHP2Shell，CVE-2026-109619 是释放后使用；CVE-2026-109618 出在内存耗尽时的中断，PHP 先给计数加一再存数据，两步之间内存用完，清理程序会把没初始化的内存当正常数据，某些配置下在业务代码运行前就能触发。
新在哪里
同类问题早有苗头。2024 年 Quarkslab 审计 PHP 期间，一位核心开发者发现过相似漏洞，但找不到利用路径，修复因人手不足一拖再拖。2026 年 Calif 在 OpenAI 的 Patch the Planet 计划里审计 PHP，两天就找到第一个入口。作者的判断是，以前能在 PHP 内核里挖内存漏洞的人全世界就几百个，雷才能埋二十年；模型把发现的成本打了下来，修复还得靠人，所以这次发现用 2 天，修复用了两个月。补丁本身也是线索，让模型对比新旧代码就能定位漏洞，提前流出的镜像等于让攻击者抢跑。
关键数字
- 时间线：7 月 30 日开始审计，8 月 1 日找到入口，8 月 11 日上报 PHP，10 月 21 日晚发布补丁
- CVSS 泄露时称 10.0，最终给 9.2
- Anthropic 称去年 11 月到今年 10 月初，模型在开源项目里找出 29439 条候选漏洞线索
- Debian 上给 PHP 打包的维护者，每月赞助不到 700 美元
影响谁
用 PHP 的网站该立刻升级，作者称这两个漏洞没有完整的缓解措施。风险最大的是没人维护的老站和还在跑 PHP 5 的系统。普通人的电脑和手机不受影响，风险在于注册过的网站被黑后泄露账号。OpenAI 发了一个 Codex 技能帮网站自查，仓库在 https://github.com/openai/php2shell-checker
鲁公网安备37021102001801号